Verwalten von Genehmigungsanforderungen in Azure Enklave

In diesem Artikel wird erläutert, wie Genehmigungsanforderungen in Azure Enklave überprüft, genehmigt und abgelehnt werden. Benutzer mit der Enklave Approver-Rolle können Genehmigungsanforderungen verwalten, um eine ordnungsgemäße Überwachung kritischer Infrastrukturänderungen sicherzustellen.

Voraussetzungen

Zum Verwalten von Genehmigungsanforderungen benötigen Sie Folgendes:

• Die Genehmigerrolle der Enklave, die auf Enklaven- oder Community-Ebene zugewiesen wird
• Zugriff auf das Azure-Portal oder azure CLI
• Berechtigungen zum Anzeigen der Ressourcen im Zusammenhang mit der Genehmigungsanforderung

Ausstehende Genehmigungsanforderungen anzeigen

1. Melden Sie sich im Azure-Portal an.

2. Navigieren Sie zu Ihrer Azure Enclave-Enklave oder Communityressource.

3. Wählen Sie im linken Navigationsmenü die Option Approvalsaus.

4. Auf der Seite "Genehmigungen" werden alle ausstehenden, genehmigten und abgelehnten Anforderungen angezeigt.

5. Verwenden Sie die Filter, um bestimmte Arten von Anforderungen anzuzeigen:

   • Approval status: Pending, ApprovedRejected
   • Requestor: Filtern nach Personen, die die Anforderung übermittelt haben
   • Requested on: Filtern nach Übermittlungsdatum/Uhrzeitbereich
   • Parent Resource: Filtern Sie nach der Enklave oder der relevanten Community
   • Action Type (wenn in Ihrem Portal angezeigt): Nach dem angeforderten Vorgang filtern

Überprüfen einer Genehmigungsanforderung

Bevor Sie eine Anforderung genehmigen oder ablehnen, überprüfen Sie die Details sorgfältig:

1. Wählen Sie in der Approvals Liste die Anforderung aus, die Sie überprüfen möchten.

2. Auf der Seite "Genehmigungsdetails" wird Folgendes angezeigt:

   • Request type: Der Typ der Ressource oder des Vorgangs (z. B Enclave Connection. )
   • Requested by: Der Benutzer, der die Anforderung übermittelt hat
   • Request date: Zeitpunkt der Übermittlung der Anforderung
   • Resource details: Informationen zur zu erstellenden oder geänderten Ressource
   • Justification: Der vom Antragsteller bereitgestellte Grund (falls verfügbar)
   • Impact assessment: Potenzielle Auswirkungen der Genehmigung der Anforderung
   • Security considerations: Sicherheitsauswirkungen der Änderung

3. Überprüfen Sie alle Informationen sorgfältig, bevor Sie eine Entscheidung treffen.

Genehmigen einer Anfrage

Nachdem Sie eine Anforderung überprüft haben, genehmigen Sie sie, damit die Änderung fortgesetzt werden kann:

1. Wählen Sie auf der Seite mit den Genehmigungsdetails die Option Approveaus.

2. Im Freigabedialog:

   • Add comments (optional): Bereitstellen von Kontext- oder Bedingungen für die Genehmigung

3. Wählen Sie diese Option Confirm aus, um die Anforderung zu genehmigen.

4. Der Anforderungsstatus ist jetzt Approved und die Ressourcenänderung wird automatisch implementiert.

Eine Anforderung ablehnen

Wenn eine Anforderung keine Genehmigungskriterien erfüllt, lehnen Sie sie mit einer klaren Erklärung ab:

1. Wählen Sie auf der Seite mit den Genehmigungsdetails die Option Rejectaus.

2. Im Ablehnungsdialogfeld:

   • Reason for rejection (erforderlich): Erläutern, warum die Anforderung abgelehnt wird
   • Suggestions (optional): Bereitstellen von Anleitungen zum Erneuten Übermitteln der Anforderung

3. Wählen Sie diese Option Confirm aus, um die Anforderung abzulehnen.

4. Der Status der Anforderung ändert sich zu Rejected, und die Ressourcenänderung wird nicht durchgeführt.

Allgemeine Genehmigungsszenarien

Genehmigen der Enklavenerstellung

Beim Überprüfen einer Enklavenerstellungsanforderung:

1. Überprüfen des Zwecks und des Besitzes: Bestätigen Sie, dass die Enklave über einen klaren Geschäftszweck und verantwortliche Besitzer verfügt
2. Zuordnung und Geltungsbereich prüfen: Vergewissern Sie sich, dass die Enklave in der richtigen Community und im richtigen Geltungsbereich erstellt wird.
3. Überprüfen der grundlegenden Sicherheitserwartungen: Sicherstellen, dass erforderliche Governance- und Sicherheitskontrollen geplant sind
4. Benennungs- und Lebenszyklusstandards bestätigen: Überprüfen der Ausrichtung mit Benennungs-, Tagging- und Lebenszyklusanforderungen

Beispielgenehmigung: "Genehmigt. Die neue Enklave entspricht dem genehmigten Plan zur Aufnahme von Workloads und erfüllt die Anforderungen an Eigentümerschaft und Governance.

Beispiel-Ablehnung: "Abgelehnt. Zweck der Enklave und Eigentumsverhältnisse sind unvollständig. Geben Sie die zuständigen Verantwortlichen und eine aktualisierte Begründung für die Bereitstellung an, bevor Sie die Übermittlung erneut vornehmen.

Genehmigen einer Änderung des Wartungsmodus

Beim Überprüfen einer Wartungsmodusanforderung:

1. Überprüfen des Wartungsfensters: Bestätigen, dass die Änderung an einem genehmigten Wartungsfenster ausgerichtet ist
2. Überprüfen der Auswirkungskommunikation: Sicherstellen, dass betroffene Stakeholder informiert sind
3. Überprüfen von Rollback-/Bereitschaftsplänen: Bestätigen Sie, dass ein klarer Rollback- oder Abschlussplan vorhanden ist.
4. Bewerten des betriebsbedingten Risikos: Überprüfen der Dienst- und Abhängigkeitswirkung vor der Genehmigung

Beispielgenehmigung: "Genehmigt. Der Wartungsmodus wird im genehmigten Änderungsfenster mit einem dokumentierten Rollbackplan geplant."

Beispiel-Ablehnung: "Abgelehnt. Wartungsfenster und Serviceeffektplan fehlen. Fügen Sie Details zur Betriebsbereitschaft hinzu, und übermitteln Sie sie erneut."

Genehmigen einer Enklavenverbindung

Beim Überprüfen einer Enklavenverbindungsanforderung:

1. Überprüfen der Quelle und des Ziels: Stellen Sie sicher, dass die Verbindung zwischen autorisierten Enklaven oder externen Endpunkten besteht.
2. Überprüfen von Netzwerkregeln: Überprüfen der Firewallregeln und Netzwerksicherheitsgruppenkonfigurationen
3. Überprüfen der geschäftlichen Begründung: Bestätigen Sie, dass eine legitime geschäftliche Notwendigkeit für die Verbindung besteht.
4. Bewerten von Sicherheitsauswirkungen: Bewerten, ob die Verbindung Sicherheitsrisiken darstellt
5. Überprüfen der Complianceanforderungen: Sicherstellen, dass die Verbindung den Compliancestandards der Organisation entspricht

Beispielgenehmigung: "Genehmigt. Die Verbindung zwischen Produktions- und Logging-Enklave ist für die zentrale Protokollaggregation erforderlich. Das Sicherheitsteam hat die Firewallregeln überprüft."

Beispiel-Ablehnung: "Abgelehnt. Für die Verbindung mit einem externen Endpunkt ist eine weitere Sicherheitsüberprüfung erforderlich. Übermitteln Sie eine detaillierte Sicherheitsbewertung, und erhalten Sie die InfoSec-Genehmigung, bevor Sie sie erneut übermitteln."

Genehmigen eines Enklavenendpunkts

Beim Prüfen einer Anforderung für einen Enklave-Endpunkt:

1. Überprüfen von Endpunktregeln: Überprüfen der Netzwerkregeln, die hinzugefügt oder geändert werden
2. Erlaubten/blockierten Datenverkehr überprüfen: Stellen Sie sicher, dass die Endpunktkontrollen mit den Sicherheitsrichtlinien übereinstimmen
3. Auf übermäßig freizügige Regeln prüfen: Suchen Sie nach Regeln, die übermäßigen Zugriff gewähren könnten
4. Konformität überprüfen: Bestätigen, dass die Endpunktkonfiguration die Complianceanforderungen erfüllt

Beispielgenehmigung: "Genehmigt. Die Endpunktkonfiguration folgt den Prinzipien der geringsten Rechte, und das Netzwerksicherheitsteam hat diese Anforderung überprüft."

Beispiel-Ablehnung: "Abgelehnt. Endpunkt ermöglicht Datenverkehr von 0.0.0.0/0, was gegen die Sicherheitsrichtlinie verstößt. Auf bestimmte IP-Bereiche beschränken und erneut übermitteln."

Genehmigung eines Community-Endpunkts

Beim Überprüfen einer Community-Endpunktanforderung:

1. Bewerten der externen Konnektivität: Überprüfen, ob das externe Ziel vertrauenswürdig und erforderlich ist
2. Überprüfen der Konfiguration des Transithubs: Wenn VPN oder ExpressRoute beteiligt sind, stellen Sie die richtige Konfiguration sicher.
3. Überprüfen von Firewallregeln: Überprüfen, ob Azure Firewall Regeln angemessen restriktiv sind
4. Überprüfen des Drittanbieterzugriffs: Wenn Sie den Zugriff auf/von externen Parteien zulassen, stellen Sie eine ordnungsgemäße Autorisierung sicher.

Beispielgenehmigung: "Genehmigt. Vpn-Verbindung zum Partnernetzwerk ist für den Datenaustausch erforderlich, wie in der Partnerschaftsvereinbarung angegeben. Die Verbindung ist mit IPsec ordnungsgemäß gesichert."

Beispiel-Ablehnung: "Abgelehnt. Für die externe Verbindung ist eine Genehmigung durch den Chief Information Security Officer (CISO) erforderlich. Einholen einer schriftlichen Genehmigung und Anfügen an die Anfrage."

Massenfreigabevorgänge

Bei mehreren verwandten Anforderungen können Sie Massenvorgänge ausführen:

Genehmigungsverlauf anzeigen

Zur Sicherstellung von Compliance und Prüfpfaden können Sie den Verlauf aller Genehmigungsentscheidungen einsehen:

Benachrichtigungsverhalten

Das Feature "Genehmigungen" bietet derzeit keine integrierte E-Mail-Benachrichtigungsoption für Genehmigungsanforderungen.

Verwenden Sie die Überwachungs- und Betriebsprozesse Ihrer Organisation, um ausstehende Genehmigungen nachzuverfolgen und zu triagen.

Bewährte Methoden für die Genehmigungsverwaltung

Beim Verwalten von Genehmigungsanforderungen:

1. Zeitnahes Überprüfen: Reagieren Sie rechtzeitig auf Genehmigungsanforderungen, um zu verhindern, dass legitime Vorgänge blockiert werden.

2. Geben Sie klares Feedback: Erläutern Sie beim Ablehnen von Anfragen den Grund, und geben Sie Anleitungen für eine erneute Ansendung.

3. Dokumententscheidungen: Hinzufügen von Kommentaren zu Genehmigungen zur Erläuterung der Begründung, insbesondere für komplexe Entscheidungen

4. Verwenden Sie einheitliche Kriterien: Wenden Sie dieselben Genehmigungsstandards für ähnliche Anforderungen an, um Fairness zu gewährleisten.

5. Eskalieren sie bei Bedarf: Wenn sie sich über eine Anfrage unsicher sind, eskalieren Sie zu leitenden Führungskräften oder Sicherheitsteams.

6. Regelmäßige Prüfungen: Überprüfen Sie regelmäßig den Genehmigungsverlauf, um Muster oder potenzielle Probleme zu identifizieren.

7. Updaterichtlinien: Basierend auf Genehmigungsmustern aktualisieren Sie Governancerichtlinien, um den Prozess zu verbessern.

8. Kommunikation mit Antragstellern: Bei komplexen Anforderungen sollten Sie mit dem Antragsteller diskutieren, bevor Sie eine Entscheidung treffen.

Genehmigungsbefugnis delegieren

In einigen Fällen müssen Sie möglicherweise die Genehmigungsbehörde vorübergehend delegieren:

1. Navigieren Sie zu Access control (IAM) für die Enklave oder Community.

2. Weisen Sie dem Delegierten die Enclave-Genehmigerrolle zu.

3. Legen Sie ein Ablaufdatum für temporäre Delegierungen fest.

4. Bei dauerhafter Delegierung sollten Sie Azure PIM mit entsprechenden Genehmigungsworkflows verwenden.

Weitere Informationen zu Rollenzuweisungen

Troubleshooting

Ausstehende Genehmigungsanforderungen kann nicht angezeigt werden

Ursache: Sie verfügen nicht über die Rolle „Enclave-Genehmiger“, oder die Rolle ist im falschen Geltungsbereich zugewiesen.

Lösung: Prüfen Sie bei Ihrem Administrator, ob Ihnen die Rolle „Enklave-Genehmiger“ auf der entsprechenden Ebene (Enklave oder Community) zugewiesen ist.

Genehmigte Anforderung wird nicht implementiert

Ursache: Die Ressource weist möglicherweise Konflikte oder unzureichende Berechtigungen auf, um die Bereitstellung abzuschließen.

Lösung: Überprüfen Sie Azure Aktivitätsprotokolle auf Fehler. Stellen Sie sicher, dass das System über die erforderlichen Berechtigungen zum Implementieren der genehmigten Änderung verfügt.

Genehmigung oder Ablehnung nicht möglich

Ursache: Überprüfen Sie, ob eine andere genehmigende Person die Anforderung bereits verarbeitet hat oder ob ein Berechtigungsproblem aufgetreten ist.

Lösung: Aktualisieren Sie die Seite, um den aktuellen Status anzuzeigen. Wenn das Problem weiterhin besteht, überprüfen Sie Ihre Rollenzuweisung.

Nächste Schritte

• Konfigurieren von Genehmigungen
• Informationen zum Feature "Genehmigungen"
• Grundlegendes zu Azure Enclave RBAC
• Konfigurieren des Just-in-Time-Zugriffs
• Erstellen einer Enklavenverbindung